Datenschutzerklärung

Ein Datenschutzbeauftragter ist nicht bestellt, weil keine gesetzliche Pflicht besteht.

Beschäftigte, die Stempz über ihren Arbeitgeber nutzen: Verantwortlicher für die Verarbeitung Ihrer Arbeitszeit- und Kontodaten ist Ihr Arbeitgeber (die „Organisation“). Stempz verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags mit der Organisation. Fragen und Betroffenenrechte richten Sie deshalb in erster Linie an Ihren Arbeitgeber; wir unterstützen ihn bei der Beantwortung und nehmen Anfragen auch direkt entgegen.

Organisationen und deren Administratoren: Für Vertrags-, Konto- und Abrechnungsdaten der Organisation sind wir selbst Verantwortlicher (Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung).

Besucher der Website stempz.de: Für die Website sind wir Verantwortlicher (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am sicheren Betrieb).

Die Website wird über AWS Amplify (Amazon Web Services EMEA SARL, Luxemburg) mit dem Content Delivery Network Amazon CloudFront ausgeliefert. Beim Aufruf verarbeitet der Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser- und Betriebssystemkennung. Diese Server-Protokolle dienen dem sicheren Betrieb und werden kurzfristig gelöscht. Die Website setzt keine Cookies, nutzt keine Analyse- oder Werbedienste und bindet keine Schriften oder Skripte von Drittanbietern ein.

Wir setzen die folgenden Auftragsverarbeiter ein. Soweit ein Anbieter Daten außerhalb der EU verarbeitet, geschieht das auf Grundlage des EU-US-Datenschutzrahmens (Data Privacy Framework) oder der Standardvertragsklauseln der EU-Kommission.

• Arbeitszeitaufzeichnungen: mindestens zwei Jahre (§ 16 Abs. 2 Arbeitszeitgesetz, § 17 Mindestlohngesetz).
• Lohn- und steuerrelevante Unterlagen: sechs bis zehn Jahre (§ 147 Abgabenordnung, § 257 Handelsgesetzbuch).
• Standortdaten: nach der von der Organisation eingestellten Aufbewahrungsfrist; die Organisation kann sie vorzeitig löschen oder anonymisieren lassen.
• Kontodaten: bis zur Löschung des Kontos (Abschnitt 8).
• Server-Protokolle und Push-Token: kurzfristig bzw. bis zur Abmeldung des Geräts.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). In der Web-Anwendung können Sie Ihre Daten unter Einstellungen → Datenschutz selbst als JSON exportieren. Wenden Sie sich mit Anliegen an Ihren Arbeitgeber oder an datenschutz@stempz.de.

Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf.

Sie können Ihr Konto jederzeit selbst löschen: in der App unter Einstellungen → Konto → „Konto löschen“ oder im Browser unter app.stempz.de/konto-loeschen. Dabei werden Name, Anmeldedaten, Antragstexte, Benachrichtigungen, Team-Zuordnungen und Geräteverknüpfungen sofort entfernt, die E-Mail-Adresse unkenntlich gemacht und die Anmeldung dauerhaft gesperrt.

Arbeitszeitaufzeichnungen bleiben anonymisiert erhalten, weil Ihr Arbeitgeber sie nach § 16 ArbZG zwei Jahre aufbewahren muss (Art. 17 Abs. 3 lit. b DSGVO). Sie lassen sich danach keiner Person mehr zuordnen. Sind Sie einziger Inhaber einer Organisation, müssen Sie die Inhaberschaft vor der Löschung an eine andere Person übertragen.

Alle Verbindungen sind TLS-verschlüsselt. Der Zugriff auf Daten ist auf Datenbankebene je Organisation und Rolle beschränkt. Sicherheitsrelevante Vorgänge wie Korrekturen, Genehmigungen, Exporte und Rollenänderungen werden protokolliert. Sitzungen im Browser enden nach einer Inaktivitätszeit automatisch.

Wir passen diese Erklärung an, wenn sich Dienste oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung; das Datum steht oben.